Digitale Souveränität Teil 1

Als Ursula von der Leyen 2019 das Amt der Präsidentin der Europäischen Kommission übernahm, forderte sie Europa auf, digitale Souveränität zu erlangen.

Die Forderung in Europa entstand vor dem Hintergrund von Kontroversen wie den Snowden-Enthüllungen, insbesondere als Reaktion auf die starke Präsenz ausländischer, vor allem US-amerikanischer und chinesischer Technologiefirmen, sowie die wachsende Sorge über eine zunehmende Abhängigkeit von nicht-europäischen Anbietern digitaler Lösungen.

Technologische Abhängigkeiten von einzelnen Anbietern führen auf Unternehmensebene zu beträchtlichen Wechselkosten und zusätzlichen Barrieren, bekannt als der Lock-in-Effekt. Wenn ein Unternehmen oder eine Organisation nicht mehr die Möglichkeit hat, zwischen verschiedenen technischen Lösungen zu wechseln, wird seine Entscheidungs- und Handlungsfreiheit stark eingeschränkt, was wiederum die digitale Souveränität negativ beeinflusst.

Zuvor warnte die französische Regierung bereits 2010 vor dem Verlust der Souveränität angesichts ausländischer Technologieunternehmen. Der damalige Premierminister François Fillon betonte die Dominanz nordamerikanischer Anbieter im Bereich Cloud Computing und, dass dieser Markt eine entscheidende Rolle für die Wettbewerbsfähigkeit der Wirtschaft, nachhaltige Entwicklung und die nationale Souveränität spiele. Um dieser Entwicklung entgegenzuwirken, setzte die Regierung auf die Förderung einer „souveränen Cloud“ („le cloud souverain“) und beschloss, Kooperationen mit Cloud-Computing-Unternehmen zur Stärkung der heimischen Wirtschaft zu fördern.

In den folgenden Jahren haben auf beiden Seiten des Atlantiks bedeutende legislative und juristische Entwicklungen im Bereich des Datenschutzes stattgefunden. 2016 verabschiedete die EU ein neues paneuropäisches Datenschutzgesetz – die Datenschutz-Grundverordnung (DSGVO) – während in den USA auf Bundesebene der CLOUD Act den Strafverfolgungsbehörden die Möglichkeit einräumte, Daten, die in Rechenzentren in Drittstaaten gespeichert sind, anzufordern.

Die Durchsetzung der DSGVO hat zu erheblichen Geldbußen für Unternehmen geführt, die gegen Datenschutzbestimmungen verstoßen. Grenzüberschreitende Datenübertragungen sind gemäß der DSGVO zulässig, solange die Daten in ein Land mit angemessenem Datenschutzniveau übertragen werden. Die Einhaltung der DSGVO stellt Unternehmen vor Herausforderungen. Sie ist nicht nur mit Kosten für die Umsetzung der Vorgaben verbunden, sondern erfordert administrative und technische Maßnahmen. Besonders kleine und mittelständische Betriebe tun sich oft schwer, die vorgeschriebenen Anforderungen zur Compliance effizient und kostengünstig umzusetzen.

Neben den gesetzlichen Rahmenbedingungen galt es, die digitale Infrastruktur Europas auszubauen. Im selben Jahr der Verabschiedung der DSGVO startete die Europäische Kommission die "European Cloud Initiative" als Schlüsselfaktor der Digitalen Binnenmarktstrategie. Der Aufbau einer „Cloud made in EU“ galt als wesentlicher Schritt, um die digitale Souveränität zu sichern und die Abhängigkeit von nicht-europäischen Anbietern zu verringern. Dadurch sollte die Kontrolle über europäische Daten gewahrt und gleichzeitig die Wettbewerbsfähigkeit des europäischen Cloud-Markes gestärkt werden.

In der bestehenden Literatur existiert keine einheitliche Definition der digitalen Souveränität. Dies ist zum Teil darauf zurückzuführen, dass der Begriff der Souveränität selbst historisch eine dynamische Entwicklung durchlief und nie eindeutig festgelegt wurde. Während sich die Souveränität früher vor allem auf Staaten bezog, wird digitale Souveränität heute zunehmend im Kontext der Beziehung zu ausländischen Unternehmen, möglicherweise sogar stärker als gegenüber Staaten, diskutiert.

In der Schwerpunktstudie Digitale Souveränität des Bundesministeriums für Wirtschaft und Energie aus dem Jahr 2021 wurde in der Befragung von 1.219 Unternehmen der Informationswirtschaft und des verarbeitenden Gewerbes die vereinfachte Definition zur Klärung des Begriffs genannt:

„Digitale Souveränität beschreibt die Fähigkeit, die digitale Transformation mit Blick auf Hardware, Software, Dienstleistungen sowie Kompetenzen selbstbestimmt zu gestalten. Dies bedeutet in Bezug auf digitale Technologien und Anwendungen, selbstständig entscheiden zu können, inwieweit man eine Abhängigkeit von Anbietern und ‚Partnern‘ eingeht oder vermeidet“.

Hier wurde zunehmend eine starke Abhängigkeit von Nicht-EU-Anbietern wahrgenommen: Mehr als 80 Prozent der Unternehmen gaben an, in mindestens einem Technologiebereich in gewissem Maße oder stark von nicht-europäischen Anbietern abhängig zu sein. Besonders betroffen sind die Bereiche Hardware/Infrastruktur sowie Software/Anwendungen.

16 Prozent der Unternehmen in der Informationswirtschaft und 19 Prozent im verarbeitenden Gewerbe berichteten sogar, in allen relevanten Technologiebereichen von Nicht-EU-Anbietern abhängig zu sein. Als Hauptursachen wurden vor allem das begrenzte Angebot an Alternativen aus der EU sowie die technologische Überlegenheit der aktuellen Anbieter genannt.

Eine europäische Alternative mit der Speicherung von Daten im Territorium der Union setzt voraus, dass die digitalen Infrastrukturen in der EU in der Lage sind, den internen Bedarf zu decken. Initiativen auf nationaler und Unionsebene, die den Ausbau dieser Infrastruktur unterstützen, betonten die aktuelle Unzulänglichkeit eben dieser.

Im Oktober 2019 gaben der deutsche Bundesminister für Wirtschaft, Peter Altmaier, und der französische Finanzminister, Bruno Le Maire, auf dem jährlichen Digital-Gipfel in Dortmund offiziell den Start von Gaia-X bekannt - dem Projekt einer europäischen Dateninfrastruktur. In einem von amerikanischen und chinesischen Technologieriesen dominierten Feld setzen Deutschland und Frankreich auf den Aufbau einer föderierten europäischen Cloud.

Gaia-X zielt darauf ab, eine sichere und vernetzte Cloud- und Dateninfrastruktur zu schaffen, die digitale Souveränität stärkt und Innovationen, insbesondere im Bereich der KI, fördert. Dabei sollte die Abhängigkeit von einzelnen Anbietern und der Lock-In-Effekt verringert und die monopolartige Stellung großer Digitalunternehmen aus den USA überwunden werden.

„Gaia-X ist tot“, so der Geschäftsführer von Nextcloud Frank Karlitschek gegenüber der Wirtschaft Woche am 07.02.2025. Im Februar 2025 kündigte Nextcloud den Ausstieg aus dem Gaia-X-Konsortium an. Das ursprüngliche Ziel des Projekts, eine europäische Cloud-Alternative zu den großen amerikanischen Anbietern zu schaffen, werde nicht mehr verfolgt. Karlitschek kritisierte, dass Gaia-X sich im Laufe der Zeit von seiner ursprünglichen Vision entfernt habe und letztlich der politische Wille gefehlt habe, eine europäische Infrastruktur zu etablieren.

Zuvor wurden Bedenken laut, da zahlreiche Firmen und sogar deutsche Behörden weiterhin auf bekannte Cloud-Lösungen setzten. Im November 2021 verließ dann der französische Multicloud-Anbieter Scaleway als Gründungsmitglied des Konsortiums während des mit großem PR-Aufwand organisierten Gaia-X-Gipfels in Mailand das Projekt. „Gaia-X wird keine europäische Cloud schaffen. Es wird ein bisschen mehr Souveränität geben. Aber das ist für mich nicht genug“, sagte der damalige Geschäftsführer Yann Lechelle.

Er kritisierte, wie zahlreiche andere europäischen Mitglieder, dass Nicht-Europäer Teil der Initiative sein können. Als die chinesischen Unternehmen Huawei und Alibaba sowie AWS zu den Hauptsponsoren des Gipfels zählten, einem Event, das eine „vertrauensvolle und souveräne digitale Infrastruktur für Europa“ voranbringen sollte, war für den Franzosen das Maß voll. „In Europa scheut man sich, die europäischen Player zu schützen – aus Angst vor Diskriminierungsvorwürfen. Das ist naiv und öffnet Tür und Tor“, bemängelte der Geschäftsführer von Clever Cloud Quentin Adam und Mitglied bei Gaia-X.

Interessanterweise gewannen gerade vor diesem Hintergrund Forderungen nach digitaler Souveränität erst an Bedeutung mit dem Ziel, digitale Infrastruktur unabhängiger zu gestalten und die Kontrolle über strategisch wichtige Daten zu sichern.

Der weite Anwendungsbereich der DSGVO und die hohen Geldstrafen im Falle von Verstößen haben dazu geführt, dass US-amerikanische Technologiekonzerne sich den europäischen Datenschutzstandards anpassen mussten. Doch während europäische Vorschriften weltweit Maßstäbe setzen, bleibt Europa in Bezug auf digitale Infrastrukturen und Cloud-Technologien weiterhin abhängig von nicht-europäischen Anbietern.

Der sogenannte Brussels Effect hat dazu beigetragen, dass internationale Unternehmen verstärkt in DSGVO-konforme Rechenzentren investieren – wie etwa die 7,8-Milliarden-Euro-Investition von AWS in eine europäische Cloud-Region in Deutschland –, doch eine echte digitale Unabhängigkeit wurde damit nicht erreicht.

Gaia-X hätte ein Schlüsselprojekt zur digitalen Souveränität Europas werden sollen. So hatte Peter Altmaier „die Mondlandung der Digitalisierung“ versprochen. Doch die Initiative wurde zunehmend von multinationalen Konzernen dominiert, und zentrale europäische Akteure zogen sich enttäuscht zurück. Ohne eine konsequente Förderung europäischer Alternativen und den politischen Willen, eigenständige digitale Infrastrukturen zu etablieren, bleibt der Lock-in-Effekt bestehen: Unternehmen sind weiterhin gezwungen, auf etablierte Lösungen zumeist aus den USA zurückzugreifen, weil europäische Alternativen entweder fehlen oder nicht wettbewerbsfähig sind.

Während digitale Souveränität als strategisches Ziel in Europa immer wieder propagiert wird, zeigen die bisherigen Entwicklungen, dass die Realität eine andere ist: Trotz ambitionierter Pläne und regulatorischer Maßnahmen führen viele Wege weiterhin nach Amerika – und Europa bleibt auf der digitalen Überholspur zurück.

Der zweite Teil unserer Serie wird einen genaueren Blick auf konkrete Lösungen werfen: Wie Open-Source-Software und Initiativen als Alternativen zu großen Software-Produkten dienen können, bei denen Europas digitale Abhängigkeit besonders stark ist.

Verfasser: Cüneyt Baluch